국모 앱을 불러오는 중입니다. 아래 내용은 이 페이지의 공개 자료입니다.

같은 사건, 1만 배 넘게 다른 숫자: 쿠팡 vs 정부 누구말이 맞나?

한국정부 “3,755만 명 유출” vs 쿠팡 “실제 저장은 3,000개 계정”

강가람 기자 · 2026.08.23 22:14 입력 · 2026.08.26 13:08 수정

쿠팡 개인정보 유출 사건을 둘러싸고 정부와 쿠팡이 전혀 다른 숫자를 내놓았습니다.

개인정보보호위원회는 지난 6월 쿠팡에서 약 3,755만 명의 개인정보가 유출됐다고 결론 내렸습니다. 쿠팡 회원 약 3,322만 명뿐 아니라, 회원이 배송지 정보에 입력한 가족·친구 등 비회원 최소 433만 명도 포함된 숫자입니다.

유출된 정보에는 이름과 이메일 주소, 전화번호, 배송지 주소 등이 포함됐고, 약 5만8,000명의 주문 내역도 유출된 것으로 정부는 발표했습니다. 개인정보위는 쿠팡이 인증서명키를 제대로 관리하지 않았고, 비정상적인 대량 접속이 발생했는데도 이를 장기간 탐지하지 못했다고 판단했습니다.

개인정보위 제11회 전체회의 결과

반면 쿠팡은 사건의 실질적인 피해 규모가 이보다 훨씬 작다고 주장합니다.

쿠팡은 전 직원이 약 3,300만 개 고객 계정의 기본정보에 접근한 것은 인정하면서도, 자신의 기기에 별도로 저장한 개인정보는 약 3,000개 계정분에 불과했다고 밝혔습니다. 그러니까 정부의 발표대로 3,300만 개 고객 정보의 “접근”한 것은 맞지만, 실제 밖으로 유출된 개인정보는 3,000개 계정분 밖에 안된다는 설명입니다.

결제정보와 로그인 정보, 개인통관고유부호 역시 접근 대상에 포함되지 않았다고 주장했습니다.

결국 정부와 쿠팡은 3,700만개 VS 3,000개 개인정보 유출이란 팽팽한 평행선을 달리고 있는 것이죠.

이는 같은 기준으로 집계된 수치가 아니기 때문입니다.

정부가 제시한 숫자는 권한이 없는 사람이 실제로 접근·조회해 쿠팡의 관리·통제 범위를 벗어난 개인정보의 규모입니다. 반면 쿠팡이 강조하는 숫자는 유출자가 자신의 기기에 별도로 저장·보관한 것으로 확인된 개인정보의 규모입니다.

정부는 개인정보의 ‘유출’을 반드시 파일을 내려받아 장기간 저장하거나 제3자에게 판매·전송한 경우로만 한정하지 않습니다. 개인정보처리자의 관리·통제권을 벗어나 권한이 없는 사람이 그 내용을 알 수 있는 상태에 이르렀다면 유출에 해당한다는 것이 정부의 해석입니다.

다른 국가들의 기준은 어떨까요?

영국을 포함한 EU는 무단 공개뿐 아니라 개인정보에 대한 ‘권한 없는 접근’도 유출로 정의내립니다. 따라서 한국정부와 같은 판단을 내릴 가능성이 큽니다. 미국은 연방법상 통일된 기준이 없고 주마다 기준이 다릅니다. 캘리포니아 등의 경우엔 정부가 무단으로 “취득”된 상황, 그러니까 실제 유출된 것을 중심으로 ‘유출’ 판단을 내립니다.

쿠팡 주장대로 실제 유출되고 외부에 저장된 3,000개 계정을 ‘유출’로 바라볼 여지가 큰 것이죠.

실제 미국 하원 법사위원회는 지난 7월 보고서에서 “접근 가능한 계정은 3,370만 개였지만 실제 저장된 정보는 약 3,000개 계정분이었다”는 쿠팡 측 설명을 인용했습니다. 그러면서 한국 정부의 조사와 과징금이 과도하며 미국 기업인 쿠팡을 차별적으로 겨냥한 조치라고 주장했습니다.

https://judiciary.house.gov/sites/evo-subsites/republicans-judiciary.house.gov/files/evo-media-document/south-korea-discriminatory-enforcement-report-draft-final.pdf

백악관도 한국 정부가 쿠팡을 표적으로 삼고 있다며 우려를 나타냈습니다. 반면 한국 정부는 쿠팡에 대한 조사가 국내법과 적법절차에 따라 진행됐으며, 기업의 국적을 이유로 차별한 사실은 없다고 반박하고 있습니다.

백악관 "한국 정부가 쿠팡 표적삼아…깊이 우려" | 연합뉴스

개인정보위는 개인정보 유출과 관련해 쿠팡에 약 4,236억 원의 과징금을 부과했습니다. 여기에 별도로 확인된 이용자 온라인 활동기록 무단 수집 등에 대한 과징금을 합하면 전체 과징금은 약 6,247억 원입니다.

개인정보 유출건에 대한 역대 최대 정부 과징금입니다.

쿠팡은 개인정보위의 판단과 과징금 처분에 대해 법적 대응에 나서겠다는 입장입니다. 이 문제는 한미 간 통상·외교 문제로도 번졌습니다.

쿠팡의 미국 모회사인 쿠팡 Inc.는 미국 델라웨어주에 설립돼 뉴욕증권거래소에 상장된 기업이며, 한국에서 사업을 운영하는 쿠팡 법인의 지분 100%를 보유하고 있습니다.

이번 논쟁의 핵심은 무단으로 접근·조회된 개인정보 전체를 ‘유출’로 봐야 하는지, 아니면 실제로 저장되거나 외부로 전달된 정보의 규모를 중심으로 책임과 제재 수준을 판단해야 하는지에 있습니다.

이 기사의 찬반 투표

여러분은 “쿠팡에서 유출된 개인정보는 3,700만건이 넘는다” 란 한국정부 주장이 적절하다고 보시나요?

  • 적절하다. 권한이 없는 사람이 수천만 명의 개인정보에 실제로 접근·조회했다면, 별도로 저장하거나 제3자에게 판매하지 않았더라도 이미 개인정보에 대한 통제가 무너진 것이다. 실제 저장된 규모만을 기준으로 판단하면 기업의 보안 책임을 지나치게 축소할 수 있다.
  • 과도하다. 유출자가 별도로 저장한 것으로 확인된 정보는 약 3,000개 계정분이고, 제3자 전송이나 추가 피해도 확인되지 않았다는 쿠팡의 설명을 고려해야 한다. 무단 접근·조회된 전체 개인정보를 실질적인 피해가 발생한 정보와 동일하게 취급해 대규모 과징금을 부과한 것은 비례성 원칙에 어긋난다.

앞뒤 기사

국모 NEWS 최신 기사

국모 NEWS · 국모(KUKMO)